系统调用捕获和分析—通过ptrace获取系统调用信息

最新推荐文章于 2024-02-27 16:00:00 发布
最新推荐文章于 2024-02-27 16:00:00 发布
阅读量542 收藏 2
点赞数 1
分类专栏： 系统安全 文章标签： 系统安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_42172261/article/details/125068881
版权
系统安全 专栏收录该内容
25 篇文章 21 订阅 ¥19.90 ¥99.00
订阅专栏

本文为毕业设计过程中学习相关知识、动手实践记录下来的完整笔记，通过阅读本系列文章，您可以从零基础了解系统调用的底层原理并对系统调用进行拦截。由于本人能力有限，文章中可能会出现部分错误信息，如有错误欢迎指正。另外，本系列所有内容仅作为个人学习研究的笔记，转载请标明出处。感谢您的关注！

文章目录

ptrace系统调用

linux提供了ptrace系统调用接口，通过这个接口可以实现进程的跟踪功能。以此实现父进程对其子进程进行控制和改变子进程核心镜像，包括读写子进程空间的数据等。

其基本原理是当使用了ptrace跟踪后，所有发送给被跟踪的子进程的信号(除了SIGKILL)，都会被转发给父进程，而子进程则会被阻塞，这时子进程的状态就会被系统标注为TASK_TRACED。而父进程收到信号后，就可以对停止下来的子进程进行检查和修改，然后让子进程继续运行。

ptrace函数原型如下

#include <sys/ptrace.h>
了解本专栏 订阅专栏 解锁全文
H4ppyD0g
关注
  • 1
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
订阅专栏
Linux下Ptrace()调用的安全分析.pdf
09-07
Linux下Ptrace()调用的安全分析.pdf
系统调用ptrace和进程跟踪
guoguangwu的专栏
01-16 1778
为方便应用软件的开发和调试，从Unix的早期版本开始就提供了一种对运行中的进程进行跟踪和控制的手段，那就是系统调用ptrace。通过ptrace，一个进程可以动态地读写另一个进程的内存和寄存器，包括其指令空间、数据空间、堆栈以及所有的寄存器。与信号机制（以及其他手段） 。。。。。。 ...
ptrace系统调用
最新发布
weixin_45459266的博客
02-27 229
ptrace` 是 Linux 系统中一个非常重要的系统调用，全称 "process trace"，它允许一个进程去监视和控制另一个进程的执行，通常用于调试器（debugger）以及其他需要对目标进程进行精细控制的应用场景。通过 `ptrace` 系统调用，一个进程（称为“调试器”或“父进程”）可以读取或修改另一个进程（称为“被调试进程”或“子进程”）的内存、寄存器、信号处理等信息，并能在子进程的关键执行点（如系统调用、中断处理等）暂停和恢复子进程的执行。
Ptrace测试sys_openat系统调用
qq_42045349的博客
10-01 1628
Ptrace测试sys_openat系统调用 Ptrace测试sys_openat系统调用 系统调用 ptrace 官方手册 玩转ptrace ptrace原理 系统调用 Linux内核中设置了一组用于实现各种系统功能的子程序，称为系统调用。用户可以通过系统调用命令在自己的应用程序中调用它们。从某种角度来看，系统调用和普通的函数调用非常相似。区别仅仅在于，系统调用由操作系统核心提供，运行于核心态；而普通的函数调用由函数库或用户自己提供，运行于用户态。 系统调用是linux操作系统中应用程序与用户交互的接口，
ptrace系统调用的实现
imred的专栏
05-12 2545
最近遇到这样一个问题，机器跑着跑着画面冻结了，打开top看到Xorg的cpu占用率100%。想用gdb挂上去看一下，结果gdb一直卡着挂不上去。后来又换用perf分析，结果发现进程99%的时间花在了一个ioctl调用。这个ioctl操作的是nvidia显卡，进程实际上是卡在了nvidia的驱动中。 我对gdb挂不上去这件事感到很好奇，之前除了因为进程已经被另一个gdb调试而导致gdb挂不上去之外，...
linux打出某一进程的堆栈,如何在Linux上使用Ptrace打印C ++其他进程的调用堆栈
weixin_39732991的博客
04-28 302
#include #include #include #include #define BUFSIZ 1024#define MAXPATH 1024pid_t npid, cpid, pid;int status, errors=0, pathlength;ptrace_event_t *event_addr;ptrace_state_t *st...
Linux中使用ptrace获取pthread线程的寄存器信息
手边笔记
07-12 7082
1.与本文相关的有这几个重要的函数： pthread_create：创建线程 pthread_self：获取当前运行的线程的线程ID (The pthread_self() function returns the ID of the calling thread.) getpid：获取当前进程ID gettid：获取当前运行的线程的线程ID(gettid() returns the ca
系统调用捕获和分析—通过strace获取系统调用信息
H4ppyD0g的博客
06-06 482
本文为毕业设计过程中学习相关知识、动手实践记录下来的完整笔记，通过阅读本系列文章，您可以从零基础了解系统调用的底层原理并对系统调用进行拦截。由于本人能力有限，文章中可能会出现部分错误信息，如有错误欢迎指正。另外，本系列所有内容仅作为个人学习研究的笔记，转载请标明出处。感谢您的关注！完整系列文章列表 系统调用捕获和分析—通过ptrace获取系统调用信息在linux操作系统中，应用程序执行时的进程不能直接访问底层硬件设备，只能通过系统调用的方式调用内核提供的接口，使得其从用户态转为内核态，达到访问硬件设备的目的
通过ptrace跟踪进程
bunner_的博客
06-10 810
1. 任务环境与目标 1.1 实验机器 Ubuntu 20.04 64位 1.2 任务目标 给定一个可执行文件，该程序调用两次print_string函数，分别输出Hello 1，Hello 2，要求在print_string处下断点，并输出该处时的各寄存器值 2. 原理 2.1 ptrace ptrace的函数原型为：long ptrace(enum __ptrace_request request, pid_t pid, void *addr, void *data); 那么有关本任务中涉及到的一些re
ptrace接口和execve同步导致的一个内核漏洞
Netfilter
02-09 3721
linux中是不可以依附别的进程的，更不可能创建远程线程，然而一种不太正规的方式却可以做到这一点，这就是ptrace接口，ptrace可以依附任何用户进程，用特殊的参数甚至可以更改任何进程的寄存器和内存映射，这个功力和创建远程线程不相上下，甚至比其更加灵活，如果理解了elf映像在内存的布局便可以通过ptrace修改被调试进程的任意内存。然而有一个限制就是ptrace接口只能调试属于自己用户的进程，
eBPF 入门开发实践指南六：捕获进程发送信号的系统调用集合，使用 hash map 保存状态
云微的blog
01-23 1493
本文主要介绍如何实现一个 eBPF 工具，捕获进程发送信号的系统调用集合，使用 hash map 保存状态。struct {并使用一些对应的 API 进行访问，例如 bpf_map_lookup_elem、bpf_map_update_elem、bpf_map_delete_elem 等。完整的教程和源代码已经全部开源，可以在中查看。
论文研究-Linux下Ptrace()调用的安全分析.pdf
07-22
对Linux下的系统调用Ptrace()所拥有的进程跟踪和控制调试功能进行了分析；结合内核漏洞的具体实例研究其对系统可能造成的安全威胁；最后就病毒技术中的一项关键技术——隐藏，讨论了Ptrace()在Linux病毒隐藏技术中的...
iOS安全防护系列之ptrace反调试与汇编调用系统方法详解
08-27
主要给大家介绍了关于iOS安全防护系列之ptrace反调试与汇编调用系统方法的相关资料，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
letmedebug:禁用ptrace的PT_DENY_ATTACH-修补ptrace系统调用
05-18
甲虫禁用ptrace的PT_DENY_ATTACH 修补ptrace系统调用
tachyon:用于系统调用流的RecordReplay
05-26
太子Tachyon是一种通过将一个进程的系统调用转发到另一个进程来提供记录，重播和串联执行的系统。 这仍然是研究质量代码，并且不稳定。建造git子模块指出了Tachyon的非hackage依赖性。 要拉下它们，请运行 git ...
[系统安全] windows下C++编写第一个加壳程序
H4ppyD0g的博客
12-30 3399
本文为笔者从零基础学习系统安全相关内容的笔记，如果您对系统安全、逆向分析等内容感兴趣或者想要了解一些内容，欢迎关注。本系列文章将会随着笔者在未来三年的读研过程中持续更新，由于笔者现阶段还处于初学阶段，不可避免参照复现各类书籍内容，如书籍作者认为侵权请告知，笔者将立刻删除。强调本系列所有内容仅作为学习研究使用，作者对此文章中的代码造成的任何后果不负法律责任。 前文链接 [系统安全] PE文件格式详解1 [系统安全] PE文件格式详解2 [系统安全] Windbg Preview调试记录
[系统安全]《黑客免杀攻防》逆向基础之经典脱壳基础
H4ppyD0g的博客
01-02 3143
本文为笔者从零基础学习系统安全相关内容的笔记，如果您对系统安全、逆向分析等内容感兴趣或者想要了解一些内容，欢迎关注。本系列文章将会随着笔者在未来三年的读研过程中持续更新，由于笔者现阶段还处于初学阶段，不可避免参照复现各类书籍内容，如书籍作者认为侵权请告知，笔者将立刻删除。强调本系列所有内容仅作为学习研究使用，作者对此文章中的代码造成的任何后果不负法律责任。 前文链接 [系统安全] PE文件格式详解1 [系统安全] PE文件格式详解2 [系统安全] Windbg Preview调试记录 [系统安全]《黑客免杀
[系统安全] 恶意代码分析实战基础之必备知识点和常用工具记录
H4ppyD0g的博客
01-06 3030
本文为笔者从零基础学习系统安全相关内容的笔记，如果您对系统安全、逆向分析等内容感兴趣或者想要了解一些内容，欢迎关注。本系列文章将会随着笔者在未来三年的读研过程中持续更新，由于笔者现阶段还处于初学阶段，不可避免参照复现各类书籍内容，如书籍作者认为侵权请告知，笔者将立刻删除。强调本系列所有内容仅作为学习研究使用，作者对此文章中的代码造成的任何后果不负法律责任。 前文链接 [系统安全] PE文件格式详解1 [系统安全] PE文件格式详解2 [系统安全] Windbg Preview调试记录 [系统安全]《黑客免杀
[系统安全] Windows逆向必备知识、逆向分析小实战
H4ppyD0g的博客
01-08 2890
函数调用约定 Windows API匈牙利表示法 Windows注册表 组件对象模型COM 逆向分析小实 调用约定 关键字 参数入栈顺序 堆栈回收 C标准规范 __cdecl 从右到左 调用者负责 快速调用规范 __fastcall 前几个参数寄存器传参，之后从右到左 被调用者负责 标准调用规范 __stdcall 从右到左 被调用者负责 注意函数调用约定是编译器的事情，即在把C源码编译成汇编代码时考虑；而如果只关注源码的话，除了在函数前声明使用哪种约定外，没有任何差别。 ...
那如何在unix系统上调用ptrace 系统实现资源追踪功能
06-08
在 Unix 系统上，可以通过调用 `ptrace` 系统调用来实现资源追踪功能。...这样，我们就可以通过 `ptrace` 系统调用实现对指定进程的跟踪，并在需要的时候读取和修改其寄存器和内存等信息，从而实现资源追踪功能。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

H4ppyD0g

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值